Golpistas adulteram ou forjam QR Codes para desviar pagamentos de clientes. Conhecida como quishing, a fraude atinge compras pela internet e transações feitas dentro de lojas, bares e restaurantes.
Em sites de comércio eletrônico, costuma passar despercebida porque a página de compra não muda visualmente: o cliente pensa estar pagando pela mercadoria, mas o valor vai para outra pessoa sem que a tela mostre algo estranho.
Páginas falsas que copiam o visual de lojas conhecidas também fazem parte do esquema e desviam o pagamento da mesma forma. A Federação Brasileira de Bancos (Febraban) recomenda comprar nos sites oficiais.
Conferir o endereço eletrônico antes de prosseguir, evitar iniciar transações por links recebidos em mensagens, e-mails ou redes sociais e não iniciar o pagamento após abordagens que pressionem por uma confirmação imediata.
Como a fraude acontece na prática
Em estacionamentos, feiras e locais com grande circulação de pessoas, golpistas também adulteram códigos. Um adesivo com código falso colado sobre o original costuma bastar: o cliente paga pensando que o valor vai para o comércio, mas o dinheiro cai numa conta controlada por criminosos.
Boletos impressos com QR Code sofrem o mesmo tipo de adulteração, já que o código original é trocado por outro que redireciona a quantia para um destino diferente do pretendido.
Em outra variação, criminosos escondem comandos maliciosos dentro de um QR Code aparentemente legítimo. Assim, driblam filtros de segurança sem que o código pareça suspeito.
Sinais que merecem atenção redobrada
Conferir, no aplicativo do banco, o nome de quem vai receber o valor e a quantia exata antes de confirmar a operação pode revelar a fraude a tempo. Também é preciso observar o código impresso ou exibido na tela: adesivos sobrepostos ou marcas de violação indicam manipulação.
Quando as informações do aplicativo não batem com a compra ou com o nome do estabelecimento, a operação deve ser interrompida ali mesmo. Ofertas vantajosas demais ou qualquer pressão para pagar na hora também pedem desconfiança, especialmente em ambientes cheios de gente.
Por que códigos falsos conseguem passar despercebidos
Os criminosos conseguem enganar pessoas e sistemas de segurança dividindo o QR Code malicioso em duas imagens separadas. Quando cada metade chega por e-mail, os filtros de proteção as veem como elementos inofensivos e estáticos.
Só quando a vítima escaneia as duas partes juntas o código se reconstitui e funciona, desviando-a para uma página falsa. É como se o golpista dividisse uma chave em dois pedaços para fazê-la passar despercebida pela revista de segurança.
Há também a técnica de esconder um código malicioso dentro de um QR legítimo. O código maior redireciona para a página de phishing, enquanto o menor aponta para um site real, como o Google.
QR Code é tão perigoso quanto um link recebido por mensagem?
Sim, e pesquisadores da Barracuda Networks alertam que o QR Code funciona como um link, mas disfarçado de imagem. Por isso, deve receber a mesma desconfiança dispensada a um link suspeito por e-mail ou WhatsApp.
Muitas pessoas, porém, têm menos cuidado com códigos porque os veem como imagens “inofensivas”, e não como endereços clicáveis. Ao induzir a vítima a escanear o código, o golpista, na prática, a leva a abrir um link oculto sem que ela perceba para onde foi redirecionada.
